Miks ei ole remontimise keskmine aeg alati kasulik turvamõõdik?

Turvameeskonnad on traditsiooniliselt kasutanud tähendab remondi aega (MTTR), et mõõta, kui tõhusalt nad turvaintsidente käsitlevad. Kuid erinevused intsidentide tõsiduses, meeskonna paindlikkuses ja süsteemi keerukuses võivad muuta selle turbemõõdiku vähem kasulikuks, ütleb Verica juhtiv uurimisanalüütik ja uuringu peaautor Courtney Nash. Avage juhtumite andmebaasi (VOID) aruanne.

MTTR pärineb tootmisorganisatsioonidest ja oli rikkis füüsilise komponendi või seadme parandamiseks kuluva keskmise aja mõõt. Nendel seadmetel olid lihtsamad ja prognoositavad kulumistoimingud, mis võimaldasid MTTR-i mõistlikult standardseid ja järjepidevaid hinnanguid. Aja jooksul on MTTR-i kasutamine laienenud ka tarkvarasüsteemidele ning tarkvarafirmad hakkasid seda kasutama süsteemi töökindluse ja meeskonna paindlikkuse või tõhususe näitajana.

Kahjuks ütleb Nash, et selle varieeruvus tähendab, et MTTR võib põhjustada vale usaldust või põhjustada tarbetut muret.

"See ei ole sobiv mõõdik keeruliste tarkvarasüsteemide jaoks, osaliselt kestuse andmete kallutatud jaotuse tõttu ja seetõttu, et selliste süsteemide tõrked ei ilmne aja jooksul ühtlaselt, " ütleb Nash. "Erinevalt füüsiliste tootmisseadmete probleemidest on iga rike oma olemuselt erinev."

MTTR-ist eemaldumine

„[MTTR] räägib meile vähe sellest, milline on intsident organisatsiooni jaoks tegelikult, mis võib olla metsikult erinev, arvestades kaasatud inimeste ja meeskondade arvu, stressi taset, seda, mida on selle lahendamiseks tehniliselt ja organisatsiooniliselt vaja. meeskond õppis selle tulemusel, ”ütleb Nash.

Jeli tegevjuht ja kaasasutaja Nora Jones ütleb, et MTTR langeb juhtumite liigse lihtsustamise ohvriks, sest ta arvutab keskmist – keskmist aega. Lihtsalt selle teatatud aegade ühe keskmise mõõtmine (ja need teatatud kellaajad on samuti osutunud ebausaldusväärseks) takistab organisatsioonidel nägemast ja käsitlemast seda, mis infrastruktuuris toimub, mis sellele korduvale juhtumile kaasa aitab ja kuidas inimesed on. vahejuhtumitele reageerimine.

"Intsidente on igasuguse kuju ja suurusega – näete, et need hõlmavad kõiki ühes organisatsioonis nii tõsiduse, mõju klientidele kui ka lahenduse keerukusele," selgitab Jones. "Peate tõesti inimesi ja tööriistu koos vaatama ning juhtumianalüüsile kvalitatiivselt lähenema."

Nash aga ütleb, et MTTR-ist eemaldumine ei ole üleöö vahetus – see pole nii lihtne kui lihtsalt ühe mõõdiku vahetamine teise vastu.

„Lõppkokkuvõttes on see ausus kaasaaitavate tegurite ja inimeste rolli osas lahenduste leidmisel,“ ütleb ta. "See kõlab lihtsalt, kuid see võtab aega ja need on konkreetsed tegevused, mis loovad paremaid mõõdikuid."

Mõõdikute kasutamise laiendamine

Nash ütleb juhtumite analüüsimine ja nendest õppimine on ideaalne tee põhjalikumate andmete ja mõõdikute leidmiseks. Meeskond võib koguda selliseid asju nagu juhtumiga seotud inimeste arv; mitu ainulaadset meeskonda oli kaasatud; milliseid tööriistu inimesed kasutasid; mitu vestluskanalit oli; ja kui toimusid samaaegsed juhtumid.

Kui organisatsioon muutub dirigeerimisel paremaks juhtumite ülevaated ja neilt õppides hakkab see nägema veojõudu sellistes asjades nagu intsidendijärgsetel ülevaatustel osalevate inimeste arv, intsidendijärgsete aruannete suurem lugemine ja jagamine ning nende aruannete kasutamine näiteks koodide ülevaatamisel, koolitusel ja sisseelamisel.

Cyentia Instituudi vanemturbeteadlane David Severski ütleb, et Verizon DBIR-i kallal töötades lõi ja andis Cyentia välja sündmuste aruandluse ja juhtumite jagamise sõnastiku, et laiendada intsidendi mõõtmiseks kasutatavate mõõdikute tüüpe.

"See määratleb andmepunktid, mida meie arvates on oluline turvaintsidentide kohta koguda, " ütleb ta. "Kasutame Cyentia uurimistöös endiselt seda põhimalli koos mõningate värskendustega, näiteks tuvastades kasutatud ATT ja CK TTP-sid."

Juhtumi mõõtmise mõõdikud ei ole organisatsiooni suuruste ja tüüpide lõikes kõigile ühesugused. "Meeskonnad mõistavad, kus nad praegu asuvad, hindavad, kus on nende prioriteedid nende praeguste piirangute piires, ja mõistavad, et nende fookusmõõdikud võivad organisatsiooni arenedes ja laienedes aja jooksul isegi muutuda," ütleb Jones.

Lisaks tähendab see fookuse nihutamist õppimisele ja seejärel nende teadmiste põhjal pidevat täiustamist, näiteks üleminekut suundumuste hindamisele ja sellele, kas asjad liiguvad aja jooksul õiges suunas, erinevalt ühe ajahetke mõõdikutest.

• SEO-põhise sisu ja PR-levi. Võimenduge juba täna.
• Platoblockchain. Web3 metaversiooni intelligentsus. Täiustatud teadmised. Juurdepääs siia.
• Allikas: https://www.darkreading.com/edge-articles/why-mean-time-to-repair-no-longer-serves-as-a-useful-security-metric